संगठन की कस्टम नीति से जुड़ी पाबंदियां

इस पेज पर, Google Cloud Organization Policy Service की कस्टम कंस्ट्रेंट का इस्तेमाल करने का तरीका बताया गया है. इससे, Cloud Storage for Firebase के इन संसाधनों पर कुछ कार्रवाइयों को प्रतिबंधित किया जा सकता है:

• firebasestorage.googleapis.com/DefaultBucket

संगठन की नीति के बारे में ज़्यादा जानने के लिए, संगठन की पसंद के मुताबिक बनाई गई नीतियां देखें.

संगठन की नीतियों और पाबंदियों के बारे में जानकारी

Google Cloud Organization Policy Service की मदद से, आपको अपने संगठन के संसाधनों पर प्रोग्राम के हिसाब से कंट्रोल मिलता है. साथ ही, इन संसाधनों को एक ही जगह से मैनेज किया जा सकता है. संगठन की नीति के एडमिन के तौर पर, आपके पास संगठन की नीति तय करने का विकल्प होता है. यह नीति, पाबंदियों का एक सेट होती है. इन्हें कंस्ट्रेंट कहा जाता है. ये कंस्ट्रेंट, Google Cloud संसाधन की हैरारकी में मौजूद Google Cloud संसाधनों और उनके डिसेंडेंट पर लागू होते हैं. संगठन की नीतियों को संगठन, फ़ोल्डर या प्रोजेक्ट लेवल पर लागू किया जा सकता है.

संगठन की नीति, Google Cloud की अलग-अलग सेवाओं के लिए, पहले से मौजूद मैनेज की जाने वाली पाबंदियां उपलब्ध कराती है. हालांकि, अगर आपको अपने संगठन की नीतियों में पाबंदी वाले फ़ील्ड पर ज़्यादा बारीकी से और अपनी पसंद के मुताबिक कंट्रोल चाहिए, तो कस्टम पाबंदियां भी बनाई जा सकती हैं. साथ ही, संगठन की नीति में उन कस्टम पाबंदियों का इस्तेमाल किया जा सकता है.

नीति इनहेरिट करना

डिफ़ॉल्ट रूप से, संगठन की नीतियां उन संसाधनों के डिसेंडेंट पर लागू होती हैं जिन पर आपने नीति लागू की है. उदाहरण के लिए, अगर किसी फ़ोल्डर पर कोई नीति लागू की जाती है, तो Google Cloud उस फ़ोल्डर के सभी प्रोजेक्ट पर वह नीति लागू कर देता है. इस व्यवहार और इसे बदलने के तरीके के बारे में ज़्यादा जानने के लिए, क्रम के हिसाब से आकलन करने के नियम देखें.

इसके अलावा, Cloud Storage for Firebase अपनी फ़ाइलों को Cloud Storage बकेट में सेव करता है. इसलिए, Cloud Storage संसाधनों पर लागू होने वाली संगठन की कोई भी नीति या कस्टम पाबंदी, आपकी Cloud Storage for Firebase बकेट पर भी लागू होती है.

फ़ायदे

• सुरक्षा और गवर्नेंस: Cloud Storage बकेट प्रोविज़निंग पर संगठन के कंट्रोल को लागू करें, ताकि डेटा के रेज़िडेंसी और लागत मैनेजमेंट के दिशा-निर्देशों का पालन किया जा सके.
• एट्रिब्यूट के हिसाब से कंट्रोल: storageClass या location जैसे खास रिसॉर्स एट्रिब्यूट के आधार पर, डिफ़ॉल्ट बकेट बनाने पर पाबंदी लगाएं.

सीमाएं

Cloud Storage for Firebase के साथ संगठन की पसंद के मुताबिक बनाई गई नीतियों का इस्तेमाल करने पर, ये सीमाएं लागू होती हैं:

• पहले से मौजूद संसाधनों पर लागू नहीं होती: नई लागू की गई कस्टम पाबंदियां, पहले से मौजूद संसाधनों पर लागू नहीं होतीं. मौजूदा डिफ़ॉल्ट बकेट का आकलन तब तक नहीं किया जाता, जब तक उन्हें अपडेट नहीं किया जाता. किसी पाबंदी का उल्लंघन करने वाले मौजूदा संसाधनों की पहचान करने के लिए, ड्राई-रन मोड का इस्तेमाल करके नीतियों की जांच की जा सकती है.
• ऐक्सेस कंट्रोल से जुड़ी पाबंदियां: कस्टम कंस्ट्रेंट, बकेट पर ऐक्सेस कंट्रोल लिस्ट (एसीएल) या IAM नीतियों को प्रतिबंधित नहीं कर सकते.

शुरू करने से पहले

1. Firebase कंसोल में, कोई Firebase प्रोजेक्ट चुनें या बनाएं.

   पक्का करें कि आपका प्रोजेक्ट किसी संगठन का हिस्सा हो और आपको अपने संगठन का आईडी पता हो.

2. कमांड लाइन का इस्तेमाल करके, कस्टम कंस्ट्रेंट सेट अप और लागू करने के लिए, Google Cloud CLI इंस्टॉल करें (gcloud). संगठन के लिए बनाई गई कस्टम नीतियों को Firebase CLI का इस्तेमाल करके मैनेज नहीं किया जा सकता.

ज़रूरी भूमिकाएं

संगठन की कस्टम नीतियों को मैनेज करने के लिए ज़रूरी अनुमतियां पाने के लिए, अपने एडमिन से संगठन पर संगठन की नीति के एडमिन (roles/orgpolicy.policyAdmin) की आईएएम भूमिका देने के लिए कहें.

Cloud Storage for Firebase इस्तेमाल किए जा सकने वाले संसाधन

यहां दी गई टेबल में उन Cloud Storage for Firebase संसाधनों की सूची दी गई है जिन्हें कस्टम कंस्ट्रेंट में रेफ़रंस के तौर पर इस्तेमाल किया जा सकता है. Cloud Storage इस्तेमाल किए जा सकने वाले संसाधनों को भी रेफ़र किया जा सकता है, क्योंकि उन संसाधनों पर लागू होने वाली कस्टम पाबंदियां, Cloud Storage for Firebase बकेट पर भी लागू होती हैं.

कस्टम कंस्ट्रेंट सेट अप करना

कस्टम कंस्ट्रेंट को YAML फ़ाइल में तय किया जाता है. इसके लिए, उन संसाधनों, तरीकों, शर्तों, और कार्रवाइयों का इस्तेमाल किया जाता है जो उस सेवा के साथ काम करती हैं जिस पर संगठन की नीति लागू की जा रही है. कस्टम कंस्ट्रेंट की शर्तें, कॉमन एक्सप्रेशन लैंग्वेज (सीईएल) का इस्तेमाल करके तय की जाती हैं. सीईएल का इस्तेमाल करके, कस्टम कंस्ट्रेंट में शर्तें बनाने के तरीके के बारे में ज़्यादा जानने के लिए, कस्टम कंस्ट्रेंट बनाना और मैनेज करना लेख का सीईएल सेक्शन देखें.

संगठन की कोई कस्टम नीति लागू करना

किसी पाबंदी को लागू करने के लिए, संगठन की ऐसी नीति बनाएं जिसमें उस पाबंदी का रेफ़रंस हो. इसके बाद, संगठन की उस नीति को Google Cloud संसाधन पर लागू करें.

संगठन के लिए बनाई गई कस्टम नीति की जांच करना

यहां दिए गए उदाहरण में, कस्टम कंस्ट्रेंट और नीति बनाई गई है. इसके तहत, नई बनाई गई सभी डिफ़ॉल्ट बकेट के लिए, STANDARD स्टोरेज क्लास का इस्तेमाल नहीं किया जा सकता. नीति की जांच करने के लिए, ऐसी कार्रवाई करने की कोशिश करें जिसे नीति के तहत रोका जाना चाहिए.

कंस्ट्रेंट बनाना

1. इस फ़ाइल को constraint-restrict-storage-class.yaml के तौर पर सेव करें:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
   resourceTypes:
   -   firebasestorage.googleapis.com/DefaultBucket
   methodTypes:
   -   CREATE
   condition: "resource.storageClass == 'STANDARD'"
   actionType: DENY
   displayName: Restrict Standard Storage Class
   description: Deny creating buckets with STANDARD storage class.
   

   ORGANIZATION_ID की जगह अपने संगठन का आईडी डालें.

2. पाबंदी लागू करें:

   gcloud org-policies set-custom-constraint ~/constraint-restrict-storage-class.yaml
   

3. पुष्टि करें कि पाबंदी मौजूद है:

   gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID
   

   आउटपुट कुछ इस तरह का होता है:

   CUSTOM_CONSTRAINT            ACTION_TYPE   METHOD_TYPES   RESOURCE_TYPES                                 DISPLAY_NAME
   custom.restrictStorageClass  DENY          CREATE         firebasestorage.googleapis.com/DefaultBucket   Restrict Standard Storage Class
   ...
   

नीति बनाएं

1. इस फ़ाइल को policy-restrict-storage-class.yaml के तौर पर सेव करें:

   name: projects/PROJECT_ID/policies/custom.restrictStorageClass
   spec:
     rules:
     -   enforce: true
   

   PROJECT_ID की जगह अपना प्रोजेक्ट आईडी डालें.

2. नीति लागू करें:

   gcloud org-policies set-policy ~/policy-restrict-storage-class.yaml
   

3. पुष्टि करें कि नीति मौजूद है:

   gcloud org-policies list --project=PROJECT_ID
   

   आउटपुट कुछ इस तरह का होता है:

   CONSTRAINT                   LIST_POLICY    BOOLEAN_POLICY    ETAG
   custom.restrictStorageClass  -              SET               CIqktscGELiZn6cC-
   

नीति लागू करने के बाद, करीब दो मिनट इंतज़ार करें, ताकि Google Cloud नीति को लागू करना शुरू कर सके.

नीति की जांच करना

स्टोरेज क्लास (जो डिफ़ॉल्ट रूप से STANDARD पर सेट होती है) की जानकारी दिए बिना, Cloud Storage for Firebase REST API का इस्तेमाल करके डिफ़ॉल्ट बकेट बनाने की कोशिश करें:

PROJECT_ID="PROJECT_ID"
TOKEN=$(gcloud auth print-access-token)

curl -X POST "https://firebasestorage.googleapis.com/v1beta/projects/${PROJECT_ID}/defaultBucket" \
  -H "Authorization: Bearer ${TOKEN}" \
  -H "Content-Type: application/json" \
  -d '{"location": "US-EAST1"}'

अनुरोध पूरा नहीं हो पाता है और इस तरह की गड़बड़ी दिखती है:

FAILED_PRECONDITION: Operation denied by org policy: ["customConstraints/custom.restrictStorageClass": "Deny creating buckets with STANDARD storage class."].
-   '@type': type.googleapis.com/google.rpc.ErrorInfo
  domain: iam.googleapis.com
  metadata:
    customConstraints: customConstraints/custom.restrictStorageClass
  reason: CUSTOM_ORG_POLICY_VIOLATION

आम तौर पर इस्तेमाल होने वाले उदाहरणों के लिए, संगठन की कस्टम नीतियों के उदाहरण

इस टेबल में, आम तौर पर इस्तेमाल होने वाली कुछ कस्टम पाबंदियों के लिए सिंटैक्स के उदाहरण दिए गए हैं.

name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictStorageClass
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.storageClass == 'STANDARD'"
actionType: DENY
displayName: Restrict Standard Storage Class
description: Deny creating buckets with STANDARD storage class.

name: organizations/ORGANIZATION_ID/customConstraints/custom.requireDefaultBucketLocation
resourceTypes:
-   firebasestorage.googleapis.com/DefaultBucket
methodTypes:
-   CREATE
condition: "resource.location != 'US-EAST1'"
actionType: DENY
displayName: Require US-EAST1 Location
description: Deny creating default buckets outside the US-EAST1 location.

आगे क्या करना है

• संगठन की नीति सेवा के बारे में ज़्यादा जानें.
• संगठन की नीतियां बनाने और उन्हें मैनेज करने के तरीके के बारे में ज़्यादा जानें.
• मैनेज की जा रही संगठन की नीति की पाबंदियों की पूरी सूची देखें.